テンセントクラウドのセキュリティセンターは10月21日、PHPのリモートコード実行脆弱性「php2shell」について注意喚起を発表しました。対象となるのは、CVE-2026-109618とCVE-2026-109619の2つです。

この脆弱性の厄介な点は、攻撃者がログインやアカウントを必要とせず、細工したmultipart POSTリクエストを送るだけでメモリ破損を引き起こし、リモートコード実行権限を取得できる可能性があることです。理論上、影響を受けるサーバーを完全に制御されるおそれがあります。言語の基盤レベルに関わるこの種の脆弱性は、クラウド上で稼働する従来型の業務システムに大きな負担となります。

米ホワイトハウスは10月16日の時点でこの問題を把握しており、連邦機関、システム統合ラボ、ネットワーク事業者と連携し、パッチの公開を急ぐとともに、政府システムや重要インフラへの影響を評価しています。クラウド事業者と政府が同時に対応に乗り出していることは、今回のリスクが「一般的なオープンソースのバグ」から、インフラレベルの脅威へと深刻化したことを示しています。

現時点では、影響を受けるバージョンの範囲や正式なパッチ適用スケジュールに関する詳細は公表されていません。短期的には、まず自社の業務がPHPスタックに依存しているかを確認し、ベンダーの修正ガイダンスを速やかにチェックするのが妥当です。今回の事態を、ニュースを一度見て終わりにするのではなく、インフラのセキュリティ点検の機会として捉えましょう。